概要 - Security Center - Alibaba Cloud ドキュメントセンター

セキュリティセンターは、Web改ざん、不審なプロセス、Webシェル、異常なログイン、悪意のあるプロセスなど、リアルタイムでアセット上で検出された脅威に対してさまざまなタイプのアラートを生成します。セキュリティセンターは、脅威検出モデルに基づいて脅威を検出します。これにより、アセットのセキュリティ態勢をリアルタイムで監視し、脅威にできるだけ早く対処できます。

背景情報

セキュリティセンターは、サーバーまたはクラウドサービスで脅威が検出されると、アラートイベントを生成します。たとえば、セキュリティセンターが悪意のある IP アドレスから開始された攻撃を検出したり、アセットの例外を検出したりすると、アラートイベントが生成されます。

アセットで生成されたアラートを表示するには、レスポンス検出 > セキュリティアラートの処理 > [CWPP] タブに移動します。Cloud Threat Detection and Response (CTDR) 機能を有効にしている場合は、脅威の分析と応答 > セキュリティアラート ページに移動し、[CWPP] タブをクリックしてアラートを表示できます。

説明

Web改ざん対策は、セキュリティセンターが提供する付加価値機能です。この機能を使用するには、この機能を購入して有効にする必要があります。詳細については、「Web改ざん対策機能を使用する」をご参照ください。

脅威検出の制限

セキュリティセンターは、リスクが検出されるとリアルタイムでアラートを送信します。セキュリティセンターコンソールで、セキュリティアラートの管理、脆弱性のスキャンと修正、攻撃の分析、構成評価を実行できます。セキュリティセンターは、アラートを分析し、攻撃を追跡できます。これにより、アセットのセキュリティが強化されます。アセットを攻撃から保護するために、サーバーに最新のセキュリティパッチを定期的にインストールし、Cloud Firewall や Web Application Firewall (WAF) などの他のセキュリティサービスをセキュリティセンターと併用することをお勧めします。

サーバーにセキュリティセンターエージェントをインストールした後、セキュリティセンターの防御プロセスがサーバーで有効になるまでには、一定の時間がかかります。この期間中は、セキュリティセンターはランサムウェアや DDoS トロイの木馬などの脅威をブロックできません。

重要

攻撃とウイルスは常に変化しており、実際のワークロードはさまざまな環境で実行されます。したがって、セキュリティセンターは、すべての未知の脅威がリアルタイムで検出されることを保証できません。アラート、脆弱性検出、ベースラインチェック、構成評価などのセキュリティセンター機能を使用して、セキュリティを強化し、侵入、データの盗難、データの損傷を防ぐことをお勧めします。

脅威検出モデル

セキュリティセンターは 380 を超える脅威検出モデルを提供し、包括的な方法で脅威を検出します。威胁检测模型图标 セキュリティアラートの処理 ページの左上隅にあるアイコンをクリックすると、モデルを表示できます。これらのモデルは、ネットワーク攻撃の 12 段階全体にわたって、クラウドアセットに対する脅威をエンドツーエンドで検出するために使用されます。段階には、攻撃ポータル、コード実行、永続化、権限昇格、防御回避などがあります。

説明

Cloud Threat Detection and Response (CTDR) の複数アカウント管理を有効にしている場合は、セキュリティアラートの処理 ページで 現在のアカウントビュー に切り替えて、脅威検出モデルにアクセスする必要があります。

アラートのリスクレベル

セキュリティセンターによって生成されるアラートは、次のリスクレベルに分類されます。

リスクレベル	説明

リスクレベル	説明
緊急	緊急アラートは、アセットに損害を与えたり、永続的な影響を与えたりする動作によってトリガーされます。このタイプの動作は、リバースシェルなどの一般的な攻撃に似ています。緊急アラートは、アセットが攻撃を受けている可能性があることを示しています。アラートの詳細を表示し、できるだけ早くアラートに対処することをお勧めします。
不審	不審なアラートは、アセットに損害を与えたり、永続的な影響を与えたりする動作によってトリガーされます。このタイプの動作は、不審なユーザーの追加など、一部の O&M 動作に似ています。このタイプの動作は攻撃パスに関係している場合もありますが、不要です。このタイプの動作がなくても、アセットが攻撃される可能性があります。たとえば、攻撃によって残された痕跡の削除は、攻撃パスでは不要です。不審なアラートは、アセットが攻撃される可能性があることを示しています。アラートの詳細を表示し、リスクが存在するかどうかを確認することをお勧めします。リスクが存在する場合は、リスクに対処してください。
リマインダー	リマインダーアラートは、攻撃パスでは不要な動作によってトリガーされます。このタイプの動作がなくても、アセットが攻撃される可能性があります。このタイプの動作は、不審なポートリスニングなど、一部の O&M 動作に似ています。アセットのセキュリティ要件が高い場合は、リマインダーアラートに注意してください。

アラート統計

セキュリティセンターは、有効になっているアラートタイプに基づいて統計を提供します。これにより、アセットのアラートと、有効および無効になっているアラートタイプに関する最新情報を入手できます。セキュリティセンターコンソールの セキュリティアラートの処理 ページで、アラートと有効になっているアラートタイプの統計情報を表示できます。

次の表は、セキュリティアラートの処理 ページの上部にあるパラメーターについて説明しています。

パラメーター	説明	操作

パラメーター	説明	操作
アラートが存在するサーバー	アラートが生成されたサーバーの数。	[アラートが発生しているサーバー] の下の数字をクリックすると、ホストアセットページの [サーバー] タブに移動します。 [サーバー] タブには、アラートが生成されたサーバーの詳細が表示されます。
緊急処理が必要なアラート	未処理の Urgent アラートの数。	[緊急アラート] の下の数字をクリックします。システムは、[アラート] ページに緊急アラートを表示します。Urgent アラートを表示および処理できます。説明 Urgent アラートにはできるだけ早く対処することをお勧めします。
処理待ちのアラートの総数	未処理のアラートの合計数。	セキュリティアラートの処理ページで、すべての未処理アラートの詳細を表示します。詳細については、「アラートを表示および処理する」をご参照ください。
[精密防御]	悪意のあるホスト動作防止機能によって自動的に隔離されたウイルスに対して生成されたアラートの数。	[精密防御] の下の数字をクリックします。システムは、[アラート] ページに関連するアラートを表示します。悪意のあるホスト動作防止機能によって自動的に隔離されたすべてのウイルスを表示できます。悪意のあるホスト行動からの保護説明セキュリティセンターによって隔離されたウイルスは無視できます。
IP アドレスブロックポリシー / すべてのポリシーの有効化	有効な IP アドレス制限ポリシー: 有効になっているブルートフォース攻撃に対する防御ポリシーによってブロックされた IP アドレスの数すべてのポリシー: 作成されたすべてのブルートフォース攻撃に対する防御ポリシーによってブロックされた IP アドレスの数	[有効な IP アドレス制限ポリシー/すべてのポリシー] の下の数字をクリックします。 IP アドレスルールポリシーライブラリパネルで、有効になっている IP アドレス制限ポリシーまたは作成されたすべての IP アドレス制限ポリシーを表示できます。 IP アドレス制限ポリシーの詳細については、「ブルートフォース攻撃に対する防御」をご参照ください。
隔離されたファイルの数	処理されたアラートに基づいてセキュリティセンターによって隔離されたファイルの数。	[隔離されたファイル] の下の数字をクリックします。 [隔離されたファイル] パネルで、隔離されたファイルの詳細を表示できます。隔離されたファイルは、サーバーに影響を与えることはできません。詳細については、「隔離されたファイルを表示および復元する」をご参照ください。

アラートタイプ

セキュリティセンターの各アラートタイプのチェック項目とチェック原則の詳細については、「アラート」をご参照ください。セキュリティセンターが生成できるアラートのタイプは、セキュリティセンターのエディションによって異なります。詳細については、「機能と特徴」をご参照ください。

次の表は、セキュリティセンターが生成できるすべてのアラートタイプについて説明しています。

アラート	説明

アラート	説明
[web改ざん対策]	セキュリティセンターは Web ディレクトリをリアルタイムで監視し、バックアップファイルを使用して改ざんされたファイルまたはディレクトリを復元します。これにより、Web サイトが悪意のある変更、トロイの木馬、隠しリンク、暴力的なコンテンツや違法なコンテンツのアップロードから保護されます。セキュリティセンターは、次の不審なアクティビティを検出できます。ファイルの追加ファイルの変更ファイルの削除説明 Web改ざん対策は、セキュリティセンターが提供する付加価値機能です。この機能を使用するには、この機能を購入して有効にする必要があります。セキュリティセンターアンチウイルス、アドバンスト、エンタープライズ、アルティメットは、Web改ざん対策をサポートしています。セキュリティセンターベーシックは、Web改ざん対策をサポートしていません。詳細については、「Web改ざん対策機能を使用する」をご参照ください。
[不審なプロセス]	セキュリティセンターは、次の操作を実行するプロセスを含む、不審なプロセスを検出できます。 Linux のスケジュールされたタスクの構成ファイルへの書き込み操作。 Linux のスケジュールされたタスクのファイルへの不審な変更。 Linux での不審なコマンドの実行。リバースシェルを実行します。詳細については、「複数のディメンションからリバースシェルを検出する」をご参照ください。
[webシェル]	セキュリティセンターは、Alibaba Cloud によって開発されたエンジンを使用して、一般的な Webシェルファイルをスキャンします。セキュリティセンターは、スケジュールされたスキャンタスクをサポートし、リアルタイム保護を提供し、Webシェルファイルを隔離します。セキュリティセンターは、毎日早朝に Web ディレクトリ全体をスキャンします。 Web ディレクトリのファイルが変更されると、セキュリティセンターはすぐに Webシェルをスキャンします。セキュリティセンターが Webシェルをスキャンするアセットを指定できます。検出されたトロイの木馬ファイルを隔離、復元、または無視できます。説明セキュリティセンターベーシックは、一部の種類の Webシェルのみを検出します。あらゆる種類の Webシェルを検出するには、セキュリティセンターベーシックをアンチウイルス、アドバンスト、エンタープライズ、またはアルティメットエディションにアップグレードすることをお勧めします。詳細については、「セキュリティセンターをアップグレードおよびダウングレードする」をご参照ください。
[異常なログイン]	セキュリティセンターは、サーバーへの異常なログインを検出します。承認されたログイン IP アドレス、期間、アカウントを設定できます。承認されていない IP アドレス、アカウント、または期間からのログインは、アラートをトリガーします。承認されたログイン場所を手動で追加したり、承認されたログイン場所を自動的に更新するようにシステムを設定したりできます。また、異常なログイン場所が検出されたときにアラートをトリガーするアセットを指定することもできます。セキュリティセンターは、次の不審なアクティビティを検出できます。承認されていない IP アドレスからの ECS インスタンスへのログイン異常な場所からの ECS インスタンスへのログイン SSH 経由の ECS ログイン後に実行された不審なコマンドシーケンス SSH へのブルートフォース攻撃による ECS インスタンスの侵害詳細については、「セキュリティセンターは異常なログインをどのように検出し、異常なログインのアラートをどのように生成しますか?」をご参照ください。
[不審なイベント]	セキュリティセンターは、アプリケーションの実行中に不審なアクティビティを検出します。
[機密ファイルの改ざん]	セキュリティセンターは、サーバー上の機密ファイルが改ざんされているかどうかを確認します。機密ファイルには、Linux の共有ライブラリにプリロードされた構成ファイルが含まれます。
[マルウェア]	セキュリティセンターは、エージェントを使用してサーバーをリアルタイムでスキャンします。ウイルスが検出されると、セキュリティセンターはアラートを生成します。セキュリティセンターコンソールにログインして、検出されたウイルスを処理できます。セキュリティセンターは、次の不審なアクティビティを検出できます。悪意のある IP アドレスへのアクセスマイニングプログラム自己変異型トロイの木馬悪意のあるプログラムトロイの木馬
[異常なネットワーク接続]	セキュリティセンターは、異常なネットワーク接続と切断を検出します。セキュリティセンターは、次の不審なアクティビティを検出できます。悪意のあるダウンロードソースへのプロアクティブな接続悪意のあるドメイン名へのアクセスマイニングプールとの通信不審なアウトバウンドネットワーク接続リバースシェルのアウトバウンド接続 (詳細については、「複数のディメンションからリバースシェルを検出する」をご参照ください。) Windows での異常なネットワーク接続内部ネットワークでの不審なラテラルムーブメント攻撃機密ポート (ポート 22、80、443、3389 など) での不審なスキャン
[その他]	セキュリティセンターは、セキュリティセンターエージェントの異常な切断を検出します。
[不審なアカウント]	セキュリティセンターは、アセットにログインしようとする承認されていないアカウントを検出します。
[アプリケーション侵入イベント]	セキュリティセンターは、システムアプリケーションコンポーネントを使用する侵入を検出します。
[クラウド脅威検出]	セキュリティセンターは、購入した他の Alibaba Cloud サービスに脅威が存在するかどうかを確認します。たとえば、セキュリティセンターは、ECS セキュリティグループルールの不審な削除を検出できます。
[精密防御]	セキュリティセンターは、一般的なランサムウェア、DDoS トロイの木馬、マイニングプログラム、トロイの木馬、悪意のあるプロセス、Webシェル、コンピューターワームに対する精密保護のための悪意のあるホスト行動からの保護機能を提供します。この機能を有効にする方法の詳細については、「プロアクティブ防御」をご参照ください。
[アプリケーションホワイトリスト]	強化された保護が必要なサーバー上のアプリケーションのホワイトリストポリシーを作成できます。ポリシーによって識別された不審なプロセスまたは悪意のあるプロセスがホワイトリストに追加されていない場合、セキュリティセンターはアラートを生成します。
[永続化]	セキュリティセンターは、サーバー上の不審なスケジュールされたタスクを検出します。サーバーに対する永続的な脅威が検出されると、セキュリティセンターはアラートを生成します。
[web アプリケーション脅威検出]	セキュリティセンターは、Web アプリケーションを使用する侵入を検出します。
[悪意のあるスクリプト]	セキュリティセンターは、アセットのシステムサービスが悪意のあるスクリプトによって攻撃または変更されているかどうかを確認します。潜在的なスクリプト攻撃が検出されると、セキュリティセンターはアラートを生成します。悪意のあるスクリプトは、ファイルベースのスクリプトとファイルレスのスクリプトに分類されます。攻撃者はサーバーを制御した後、スクリプトを使用して追加の攻撃を行います。たとえば、攻撃者はマイニングプログラムと Webシェルを挿入し、システムに管理者アカウントを追加する可能性があります。悪意のあるスクリプトのプログラミング言語には、Bash、Python、Perl、PowerShell、Batch、VBScript などがあります。
[脅威インテリジェンス]	セキュリティセンターは、Alibaba Cloud によって開発された脅威インテリジェンスライブラリを使用して、アクセストラフィックとログの相関分析を実行します。セキュリティセンターは、悪意のあるドメイン、悪意のあるダウンロードソース、悪意のある IP アドレスへのアクセスなど、脅威イベントも検出します。
[k8s 異常動作]	セキュリティセンターは、Kubernetes クラスタで実行されているコンテナのセキュリティステータスを監視します。これにより、クラスタ内のセキュリティリスクと侵入をできるだけ早く検出できます。クラスタへの脅威を検出するには、Kubernetes コンテナの脅威検出機能を有効にする必要があります。詳細については、「[コンテナ保護設定] タブで機能を有効にする」をご参照ください。

アラート

次のリストは、セキュリティセンターが生成できるすべてのアラートについて説明しています。アラートは、オペレーティングシステム、検出項目、攻撃方法に基づいて分類されます。 Alibaba Cloud の脅威インテリジェンスと最新の公開された脆弱性に基づいて、セキュリティセンターは侵入防止システム (IPS) を使用してサーバーの脅威を分析し、さまざまなタイプのアラートを生成します。このトピックでは、セキュリティセンターが生成できるアラートとアラートのタイプについて説明します。

Linux サーバーのアラート

アラートタイプ	アラート名	説明
永続化	カーネル構成ファイルの改ざん	脅威検出モデルは、サーバー上のカーネルモジュールの構成ファイルが改ざんされたことを検出しました。ほとんどの場合、改ざんは、ルートキットプログラムが自己起動を実現するために構成ファイルを変更したときに検出されます。
	悪意のあるスタートアップアイテムスクリプト	脅威検出モデルは、サーバー上の自己起動アイテムの一部のファイルが不審であることを検出しました。これらのファイルは、マルウェアまたは攻撃者が永続化を実現するために挿入したスケジュールされたタスクまたは自己起動スクリプトである可能性があります。
	バックドアプロセス	脅威検出モデルは、サーバー上で不審なバックドアプロセスを検出しました。バックドアプロセスは、権限を維持しようとする攻撃者によって残された永続的な動作である可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリに悪意のある命令を検出しました。このプロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが挿入されたプロセスである可能性があります。
	異常なプロセス	脅威検出モデルは、サーバー上で実行されているプログラムに異常なプロセスが存在することを検出しました。これらのプロセスは、悪意のあるプロセス、または悪意のあるコードをロードしたプロセスである可能性があります。
	異常な自己起動アイテム	脅威検出モデルは、サーバー上で異常な自己起動アイテムを検出しました。自己起動アイテムは、攻撃者またはマルウェアによって永続化を実現するために追加された可能性があります。
	隠されたカーネルモジュール	脅威検出モデルは、サーバー上で隠されたカーネルモジュールを検出しました。カーネルモジュールは、攻撃者またはマルウェアによって挿入されたルートキットバックドアである可能性があり、システム権限を維持し、他の悪意のある動作を隠すために使用されます。
	Linux での不審なスケジュールされたタスク	脅威検出モデルは、サーバー上で不審なスケジュールされたタスクを検出しました。このタスクは、攻撃者がサーバーに残した永続的な動作である可能性があります。
	SSH 公開鍵バックドア	脅威検出モデルは、サーバーへのログインの異常な SSH 公開鍵を検出しました。 SSH 公開鍵は、ワームまたは攻撃者によって攻撃されたサーバーに権限を維持するために追加されました。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Python などの悪意のあるスクリプトコードがサーバー上で実行されたことを検出しました。
悪意のあるスクリプト	悪意のあるスクリプトファイルの検出	脅威検出モデルは、サーバー上で悪意のあるスクリプトファイルを検出しました。このファイルは、サーバーに侵入した攻撃者によって挿入された可能性があります。悪意のあるスクリプトのタグに基づいてファイルの内容が正当かどうかを確認することをお勧めします。その後、ファイルを処理します。
マルウェア	汚染された基本ソフトウェア	脅威検出モデルは、サーバー上で汚染された基本ソフトウェアを検出しました。ほとんどの場合、汚染された基本ソフトウェアは、悪意のあるコードが挿入されたシステムプログラムです。汚染された基本ソフトウェアは基本的な機能を提供しますが、密かに悪意のある動作を実行します。
	悪意のあるプログラム	脅威検出モデルは、悪意のあるプログラムがサーバー上で実行されていることを検出しました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティプログラムです。
	悪意のある IP アドレスへのアクセス	脅威検出モデルは、サーバー上のプロセスが悪意のある IP アドレスに接続しようとしていることを検出しました。この IP アドレスは、C&C サーバーの IP アドレス、または攻撃者によって悪用されるマイニングプールの IP アドレスである可能性があり、リスクが高くなります。このプロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体は、実行のために通常のプログラムファイルに悪意のあるコードを書き込みます。したがって、多数の通常のプログラムが感染し、ウイルスホストとして検出されることがよくあります。
	攻撃者ツール	脅威検出モデルは、サーバー上で攻撃者ツールを検出しました。攻撃者ツールとは、攻撃者が侵入プロセス中に権限を昇格させ、機密データを盗むために悪用するツール、セキュリティソフトウェアをアンインストールするために使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	バックドアプログラム	脅威検出モデルは、バックドアプログラムがサーバー上で実行されていることを検出しました。バックドアプログラムは、システムに挿入され、攻撃者によってサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	不審なプログラム	脅威検出モデルは、不審なプログラムがサーバー上で実行されていることを検出しました。ほとんどの場合、不審なプログラムは悪意のあるコードの特性を持っているか、非常に不審で分類が必要なプログラムの特性を持っています。コードまたはプログラムの詳細に基づいて不審なプログラムを判断する必要があります。
	ランサムウェア	脅威検出モデルは、ランサムウェアがサーバー上で実行されていることを検出しました。ランサムウェアは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得るための悪意のあるプログラムです。
	エクスプロイト	脅威検出モデルは、エクスプロイトがサーバー上で実行されていることを検出しました。エクスプロイトは、オペレーティングシステムとアプリケーションの既知の脆弱性を悪用して、権限を昇格させ、エスケープを実装し、任意のコードを実行します。
	トロイの木馬	脅威検出モデルは、サーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬は偽装してシステムに挿入された後、悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルは、ワームがサーバー上で実行されていることを検出しました。ワームは、侵害されたサーバーから別のサーバーに拡散するために自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルは、マイニングプログラムがサーバー上で実行されていることを検出しました。マイニングプログラムは、サーバーの計算リソースを消費して暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは、CPU 使用率が非常に高く、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変異型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自身を複製し、バックグラウンドで実行されます。このようにして、システムによってクリーンアップされるのを回避します。
	DDoS トロイの木馬	脅威検出モデルは、DDoS トロイの木馬がサーバー上で実行されていることを検出しました。 DDoS トロイの木馬は、侵害されたサーバーから命令を受信して、特定のサーバーに対して DDoS 攻撃を開始するために使用される悪意のあるプログラムです。
	ルートキット	脅威検出モデルは、サーバー上でルートキットを検出しました。ルートキットは、基盤となるシステムに挿入される悪意のあるモジュールです。ルートキットは、自身または他の悪意のあるプログラムの痕跡を隠すために使用されます。
	ルートキットカーネルモジュール	脅威検出モデルは、サーバー上でルートキットを検出しました。ルートキットは、基盤となるシステムに挿入される悪意のあるモジュールです。ルートキットは、自身または他の悪意のあるプログラムの痕跡を隠すために使用されます。
不審なプロセス	ファイル時間の改ざん	脅威検出モデルは、サーバー上のプロセスがファイル時間を変更しようとしたことを検出しました。このプロセスは、異常なファイルの実際の作成、アクセス、または変更時間を偽造して検出を回避するために、実際のファイル時間を模倣する攻撃者によってトリガーされる可能性があります。
	リスクツールの呼び出し	脅威検出モデルは、サーバー上でリスクツールの不審な呼び出しを検出しました。リスクツールは、攻撃者がサーバーに侵入するために悪用するプロキシ、トンネル、またはスキャンツールとして使用できます。
	リバースシェル	脅威検出モデルは、サーバーでリバースシェルコマンドが実行されたことを検出しました。攻撃者はリバースシェルコマンドを実行して、サーバーと攻撃者のサーバーの間にリバースネットワーク接続を確立します。リバースネットワーク接続に基づいて、サーバー上で任意のコマンドを実行できます。詳細については、「複数のディメンションからリバースシェルを検出する」をご参照ください。
	悪意のあるダウンロードソースへの接続	脅威検出モデルは、サーバーが悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	機密ファイルへのアクセス	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、プロセスが重要なシステムファイルを不審に読み取ったり変更したりしたことを検出しました。
	プロセスによって実行された不審なコマンド	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、プロセスが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者がサービスのリモートコード実行 (RCE) の脆弱性を悪用してコマンドを実行したことです。
	高リスクアプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の高リスクアプリケーションが不審なコマンドを実行したことを検出しました。高リスクアプリケーションは、Web サービス、データベースサービス、スクリプト、スケジュールされたタスク、または自己起動アイテムである可能性があります。これらのアプリケーションは侵害され、攻撃者によって悪意のあるコマンドを実行するために使用された可能性があります。
	不審なエンコードされたコマンド	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	不審なポートリスニング	脅威検出モデルは、サーバー上で不審なポートリスニングを検出しました。攻撃者はサーバーに侵入した後、nc などのソフトウェアを使用してポートリスニングを行います。このようにして、攻撃者はサーバーから情報を盗むための隠された通信チャネルを確立します。
	不審なパス	脅威検出モデルは、サーバー上で不審なファイル名拡張子を検出しました。ファイルは実行可能ファイルであり、ファイルの形式は拡張子で表される形式と一致しません。考えられる原因は、攻撃者が侵入プロセス中に実行可能ファイルのファイル名拡張子を変更して検出を回避したことです。
	不審なファイルの実行	脅威検出モデルは、サーバー上のファイルが不審な方法で書き込まれ、実行されたことを検出しました。このファイルは、外部ソースからダウンロードされ、攻撃者によって実行された悪意のあるツールである可能性があります。
	不審な動作	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、不審なコマンドを検出しました。
	HTTP トンネルを使用した潜在的なデータ侵害	脅威検出モデルは、HTTP チャネルを使用してサーバー上のコマンド実行結果を外部サーバーに送信したことを検出しました。考えられる原因は、攻撃者が RCE の脆弱性を悪用して、侵害されたサーバー上のコマンド実行結果を攻撃者が使用するサーバーに送信したことです。
	不審な SSH トンネリング	脅威検出モデルは、サーバーが不審な SSH トンネルを確立しようとしていることを検出しました。
	不審な Webシェルインジェクション	脅威検出モデルは、不審なプロセスがサーバーに Webシェルファイルを挿入しようとしていることを検出しました。
	不審な権限昇格	脅威検出モデルは、サーバー上の一部のプロセスがシステムの脆弱性とアプリケーションの脆弱性を悪用して高いシステム権限を取得していることを検出しました。考えられる原因は、攻撃者が侵入プロセス中に権限昇格を実装したことです。
	不審なルートキットの動作	脅威検出モデルは、サーバー上のルートキットバックドアが不審なコマンドを実行していることを検出しました。考えられる原因は、攻撃者がルートキットバックドアを挿入し、バックドアに悪意のある命令を送信してリモートコントロールを実現したことです。
	データベースエクスポートツールの不審な呼び出し	脅威検出モデルは、サーバー上のプロセスの履歴動作を分析し、データベースエクスポートツールの不審な呼び出しを検出しました。考えられる原因は、サーバーが侵害された後、攻撃者がサーバーからデータを盗んだことです。
	異常な動作シーケンス	脅威検出モデルは、サーバー上で複数の異常な動作シーケンスの組み合わせを検出しました。この組み合わせは通常、ワームファミリの拡散によって発生します。サービスもワームに感染している可能性があります。
	Apache CouchDB によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Apache CouchDB が不審なコマンドを実行したことを検出しました。
	FTP アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の FTP アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が FTP アプリケーションの弱いパスワードを悪用し、FTP を使用してバッチファイルを実行したことです。
	Java アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の Java プロセスが悪意のあるプログラムのダウンロードやバックドアの追加などの高リスク操作を実行したことを検出しました。考えられる原因は、脆弱な Web フレームワークまたはミドルウェアを使用していることです。
	Linux crontab ファイルの改ざん	脅威検出モデルは、サーバー上のプロセスが Linux サーバー上のスケジュールされたタスクのファイルを変更しようとしていることを検出しました。考えられる原因は、悪意のあるプログラムまたはルートキットプログラムが永続的なバックドアコードをサーバーに書き込もうとしたことです。
	Linux のスケジュールされたタスクによって実行された不審なコマンド	脅威検出モデルは、サーバー上のスケジュールされたタスクが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者がスケジュールされたタスクに悪意のあるコマンドを書き込んで、サーバーが侵害された後に権限を維持したことです。
	Linux での不審なコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが不審なコマンドのシーケンスを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者が通常実行するコマンドのシーケンスに似ています。不審なコマンドの親プロセスを確認することをお勧めします。親プロセスは、リモートコントロールトロイの木馬、脆弱な Web サービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	Linux での不審なコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	MySQL EXPORT 関数を使用した不審なファイル書き込み	脅威検出モデルは、サーバー上の MySQL アプリケーションが機密ディレクトリにファイルを書き込もうとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードをクラックするか、Web アプリケーションを使用して悪意のある SQL ステートメントを実行したことです。
	MySQL によって実行された不審なコマンド	脅威検出モデルは、サーバー上の MySQL サービスが不審なコマンドを実行したことを検出しました。考えられる原因には、MySQL サービスの弱いパスワードと、SQL ステートメントが挿入された Web サービスが含まれます。
	Oracle によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Oracle データベースが不審なコマンドを実行したことを検出しました。考えられる原因は、Oracle データベースのパスワードが漏洩した後、攻撃者がリモートコマンドを実行したことです。
	Postgres EXPORT 関数を使用した不審な UDF ライブラリファイルの書き込み	脅威検出モデルは、サーバー上の Postgres アプリケーションが不審な .so ファイルをディスクに書き込もうとしていることを検出しました。考えられる原因は、攻撃者が Postgres アプリケーションの弱いパスワードをクラックして Postgres アプリケーションにログインした後、Postgres アプリケーションで悪意のある SQL ステートメントを実行したことです。攻撃者は .so ファイルを使用して、サーバーの制御権限を取得した可能性があります。
	PostgreSQL アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の PostgreSQL アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因には、PostgreSQL サービスの弱いパスワードと、悪意のある SQL ステートメントが挿入された Web サービスが含まれます。
	Python アプリケーションによる不審なコマンドの実行	脅威検出モデルは、サーバー上の Python アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、サーバー上の Python ベースの Web アプリケーションに RCE の脆弱性があり、侵害されたことです。
	Redis によって変更された Crontab ファイル	脅威検出モデルは、サーバー上の Redis アプリケーションが不審なファイルをディスクに書き込んだことを検出しました。考えられる原因は、攻撃者が空白のパスワードを使用するか、Redis アプリケーションの弱いパスワードをクラックして悪意のある SQL ステートメントを実行し、システム権限を取得したことです。
	Tomcat によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Tomcat コンテナが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が Tomcat コンテナの Java アプリケーションの Webシェルまたは RCE の脆弱性を悪用して悪意のあるコマンドを実行したことです。
機密ファイルの改ざん	システムファイルの改ざん	脅威検出モデルは、サーバー上のプロセスがシステムファイルを変更または置き換えようとしていることを検出しました。考えられる原因は、攻撃者が検出を回避し、バックドアを隠すためにシステムファイルを置き換えようとしたことです。アラートが生成されたシステムファイルが実際のシステムファイルかどうかを確認することをお勧めします。
	システムファイルの移動	脅威検出モデルは、アップストリームプロセスがサーバー上のシステムファイルを移動しようとしていることを検出しました。考えられる原因は、攻撃者が侵入プロセス中にセキュリティソフトウェアによって監視されているシステムファイルを移動して検出を回避したことです。
	Linux 共有ライブラリファイルをプリロードするために使用される構成ファイルの改ざん	脅威検出モデルは、Linux 共有ライブラリファイルをプリロードするために使用される構成ファイルが改ざんされていることを検出しました。
その他	セキュリティセンターエージェントの異常な切断	脅威検出モデルは、サーバー上のセキュリティセンターエージェントのメインプロセス AliYunDun が異常に停止し、エージェントが Alibaba Cloud から切断されたことを検出しました。切断はネットワークの不安定性が原因である可能性があり、短時間続きます。もう 1 つの考えられる原因は、サーバーが侵害された後にセキュリティセンターエージェントがサーバーからアンインストールされたことです。この場合、サーバーにログインして、セキュリティセンターエージェントが実行されているかどうかを確認する必要があります。エージェントが実行されていない場合は、エージェントを起動します。
Webシェル	Webシェルファイル	脅威検出モデルは、サーバー上で不審な Webシェルファイルを検出しました。 Webシェルファイルは、攻撃者が Web サイトに侵入した後に権限を維持するために挿入および使用されるバックドアファイルである可能性があります。
異常なログイン	悪意のある IP アドレスを使用したログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバーにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、Elastic Compute Service (ECS) インスタンスにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	悪意のある IP アドレスを使用した FTP ログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバー上の FTP アプリケーションにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、FTP アプリケーションにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	悪意のある IP アドレスを使用した MySQL ログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバー上の MySQL アプリケーションにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、MySQL アプリケーションにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	バックドアアカウントを使用したサーバーログイン	脅威検出モデルは、攻撃者がサーバーにバックドアアカウントを挿入し、バックドアアカウントを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、バックドアアカウントをすぐに削除することをお勧めします。
	弱いパスワードのアカウントを使用したサーバーログイン	脅威検出モデルは、弱いパスワードのアカウントを使用してサーバーにログインしたことを検出しました。このログインは、自分または攻撃者によって実行される可能性があります。ほとんどの場合、攻撃者は弱いパスワードをクラックしてサーバーに侵入します。強力なパスワードをすぐに設定することをお勧めします。
	不審な外部ログインスキャン	脅威検出モデルは、サーバーが SSH、RDP、SMB などのプロトコルに対してブルートフォース攻撃を頻繁に開始したことを検出しました。考えられる原因は、サーバーが攻撃され、攻撃者によって他のサーバーを攻撃するために使用されたことです。
	異常な場所からのログイン	脅威検出モデルは、サーバーが短期間のうちに互いに遠く離れた 2 つの場所からログインされたことを検出しました。場所の 1 つは通常のログイン場所です。異なる場所からのログインは、ログインリクエストの 1 つが通常の場所ではなく異常な場所から開始されたことを示しています。この操作を実行しなかった場合は、サーバーにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	異常なアカウントを使用したログイン	脅威検出モデルは、管理者グループに異常なアカウントを追加し、そのアカウントを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、アカウントをすぐに削除することをお勧めします。
	複数の無効なユーザーによって開始されたブルートフォース攻撃による ECS インスタンスの侵害	脅威検出モデルは、複数の無効なユーザーが同じ IP アドレスを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、ECS インスタンスにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	RDP へのブルートフォース攻撃による ECS インスタンスの侵害	脅威検出モデルは、サーバーが RDP へのブルートフォース攻撃を受けていることを検出しました。攻撃者は RDP サービスパスワードをクラックし、数回試行した後、サーバーにログインしました。
	不審なコマンドシーケンス実行前の SSH 経由の ECS インスタンスログイン	脅威検出モデルは、IP アドレスを使用してサーバーにログインした後、サーバー上でいくつかの悪意のあるコマンドが実行されたことを検出しました。考えられる原因は、サーバーにログインするために使用されるパスワードが弱いか、漏洩していることです。
	異常な時間範囲内での ECS インスタンスへのログイン	サーバーがログインされた時刻が、指定したログイン時間範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
	異常なアカウントを使用した ECS インスタンスへのログイン	サーバーにログインするために使用されるアカウントが、正当なアカウントの条件と一致しません。ログインが有効かどうかを確認することをお勧めします。
	異常な IP アドレスを使用した ECS インスタンスへのログイン	サーバーにログインするために使用される IP アドレスが、指定した IP アドレスの範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
	異常な場所からの ECS インスタンスへのログイン	サーバーがログインされた場所が、指定したログイン場所の範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
異常なネットワーク接続	ポートフォワーディング	脅威検出モデルは、サーバー上のプロセスがポートフォワーディング用のトンネルを設定しようとしていることを検出しました。考えられる原因は、攻撃者が侵害されたサーバーを使用して、同じ内部ネットワークにデプロイされている他のサーバーを攻撃したことです。
	悪意のあるドメイン名へのアクセス	脅威検出モデルは DNS トラフィックを分析し、サーバーが高リスクドメイン名を解決したことを検出しました。ドメイン名は、リモートコントロールのドメイン名、ボットネット組織のドメイン名、マイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入してサーバーを悪用した可能性があります。
	不審なアウトバウンド接続	脅威検出モデルは、サーバーが Web サイトにアクセスしようとしていることを検出しました。 Web サイトは、マイニングプールアドレス、C&C バックドア、ボットネット組織のドメイン名に関連している可能性があります。
	Meterpreter を使用したリバースシェル接続	脅威検出モデルは、サーバー上で不審なプロセスを検出しました。このプロセスは、攻撃者のサーバーのリバースシェル接続を確立して、Meterpreter を使用してサーバーでより多くの操作を実行しようとしていました。詳細については、「複数のディメンションからリバースシェルを検出する」をご参照ください。
	マイニングプールとの通信	脅威検出モデルは、サーバーがマイニングプールの IP アドレスと通信したことを検出しました。考えられる原因は、サーバーが攻撃者によって侵入され、マイニングに使用されたことです。
	内部ネットワークスキャン	脅威検出モデルは、サーバー上のプロセスが短期間のうちに複数の内部 IP アドレスの指定されたポートに対してスキャンを開始したことを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後にラテラルムーブメント攻撃を開始しようとしたことです。
	内部ネットワークでの不審なラテラルムーブメント攻撃	脅威検出モデルは、サーバー上で異常な内部ネットワーク接続を検出しました。考えられる原因は、攻撃者がサーバーが侵害された後に内部ネットワークでラテラルムーブメント攻撃を開始したことです。
	異常なトラフィック	脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データの侵害、不審なプロキシとトンネルによって発生する可能性があります。アラートの詳細に基づいてトラフィックを処理することをお勧めします。
	悪意のあるダウンロードソースへのプロアクティブな接続	脅威検出モデルは、サーバーが HTTP を使用して悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Redis によって実行された不審なコマンド	脅威検出モデルは、攻撃者が Redis サービスに接続した後、サーバー上の Redis サービスが悪意のある SQL ステートメントを実行したことを検出しました。この場合、攻撃者はサーバーを制御した可能性があります。
不審なアカウント	不審なアカウントを使用したシステムログイン	脅威検出モデルは、ユーザーが承認されていないアカウント、システム組み込みアカウント、または攻撃者アカウントを使用してシステムにログインしようとしていることを検出しました。ログインは攻撃者によって実行される可能性があります。

Windows サーバーのアラート

アラートタイプ	アラート名	説明
永続化	不審な自己起動アイテム	脅威検出モデルは、サーバー上の一部の自己起動アイテムが不審であることを検出しました。これらのアイテムは、マルウェアまたは攻撃者によって永続化を実現するために追加された可能性があります。
	不審なバックドア	脅威検出モデルは、サーバー上で WMI または bitsadmin バックドアを検出しました。このようなバックドアは、サーバーが侵害された後、攻撃者がシステム権限を維持するために残した可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリに悪意のある命令を検出しました。このプロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが挿入されたプロセスである可能性があります。
	異常なプロセス	脅威検出モデルは、サーバー上で実行されているプログラムに異常なプロセスが存在することを検出しました。これらのプロセスは、悪意のあるプロセス、または悪意のあるコードをロードしたプロセスである可能性があります。
	異常なレジストリ構成	脅威検出モデルは、サーバー上で不審なレジストリ構成を検出しました。ほとんどの場合、一部の重要なレジストリ構成は、マルウェアによって変更されて永続化を実現したり、妨害動作を実行したりする可能性があります。
	異常な自己起動アイテム	脅威検出モデルは、サーバー上で異常な自己起動アイテムを検出しました。自己起動アイテムは、マルウェアまたは攻撃者によって永続化を実現するために追加された可能性があります。
	Cobalt Strike RAT	脅威検出モデルは、サーバー上のプロセスのメモリに Cobalt Strike RAT の悪意のあるコードを検出しました。このプロセスは、悪意のあるプロセス、または悪意のあるコードが挿入されたプロセスである可能性があります。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Python などの悪意のあるスクリプトコードがサーバー上で実行されたことを検出しました。
悪意のあるスクリプト	悪意のあるスクリプトファイルの検出	脅威検出モデルは、サーバー上で悪意のあるスクリプトファイルを検出しました。このファイルは、サーバーに侵入した攻撃者によって挿入された可能性があります。悪意のあるスクリプトのタグに基づいてファイルの内容が正当かどうかを確認することをお勧めします。その後、ファイルを処理します。
マルウェア	悪意のあるプログラム	脅威検出モデルは、悪意のあるプログラムがサーバー上で実行されていることを検出しました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティプログラムです。
	悪意のある IP アドレスへのアクセス	脅威検出モデルは、サーバー上のプロセスが悪意のある IP アドレスに接続しようとしていることを検出しました。この IP アドレスは、C&C サーバーの IP アドレス、または攻撃者によって悪用されるマイニングプールの IP アドレスである可能性があり、リスクが高くなります。このプロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体は、実行のために通常のプログラムファイルに悪意のあるコードを書き込みます。したがって、多数の通常のプログラムが感染し、ウイルスホストとして検出されることがよくあります。
	攻撃者ツール	脅威検出モデルは、サーバー上で攻撃者ツールを検出しました。攻撃者ツールとは、攻撃者が侵入プロセス中に権限を昇格させ、機密データを盗むために悪用するツール、セキュリティソフトウェアをアンインストールするために使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	バックドアプログラム	脅威検出モデルは、バックドアプログラムがサーバー上で実行されていることを検出しました。バックドアプログラムは、システムに挿入され、攻撃者によってサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	不審なプログラム	脅威検出モデルは、不審なプログラムがサーバー上で実行されていることを検出しました。ほとんどの場合、不審なプログラムは悪意のあるコードの特性を持っているか、非常に不審で分類が必要なプログラムの特性を持っています。コードまたはプログラムの詳細に基づいて不審なプログラムを判断する必要があります。
	ランサムウェア	脅威検出モデルは、ランサムウェアがサーバー上で実行されていることを検出しました。ランサムウェアは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得るための悪意のあるプログラムです。
	エクスプロイト	脅威検出モデルは、エクスプロイトがサーバー上で実行されていることを検出しました。エクスプロイトは、オペレーティングシステムとアプリケーションの既知の脆弱性を悪用して、権限を昇格させ、エスケープを実装し、任意のコードを実行します。
	トロイの木馬	脅威検出モデルは、サーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬は偽装してシステムに挿入された後、悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルは、ワームがサーバー上で実行されていることを検出しました。ワームは、侵害されたサーバーから別のサーバーに拡散するために自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルは、マイニングプログラムがサーバー上で実行されていることを検出しました。マイニングプログラムは、サーバーの計算リソースを消費して暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは、CPU 使用率が非常に高く、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変異型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自身を複製し、バックグラウンドで実行されます。このようにして、システムによってクリーンアップされるのを回避します。
	DDoS トロイの木馬	脅威検出モデルは、DDoS トロイの木馬がサーバー上で実行されていることを検出しました。 DDoS トロイの木馬は、侵害されたサーバーから命令を受信して、特定のサーバーに対して DDoS 攻撃を開始するために使用される悪意のあるプログラムです。
	Hashdump の実行	脅威検出モデルは、Windows Credentials Editor (WCE) や minikazi などのマルウェアがサーバー上で実行されていることを検出しました。このようなマルウェアは、システムアカウントのハッシュ値を盗む可能性があり、パスワードの漏洩につながります。
不審なプロセス	Windows での不審なスケジュールされたタスクの作成	脅威検出モデルは、サーバー上で不審なスケジュールされたタスクが作成されたことを検出しました。考えられる原因は、マルウェアまたは攻撃者が侵入プロセス中に権限を維持するためにタスクを作成したことです。
	リスクツールの呼び出し	脅威検出モデルは、サーバー上でリスクツールの不審な呼び出しを検出しました。リスクツールは、攻撃者がサーバーに侵入するために悪用するプロキシ、トンネル、またはスキャンツールとして使用できます。
	WMIC を使用した不審なプロセスの実行	脅威検出モデルは、サーバーが WMIC を使用してプログラムを作成および実行しようとしていることを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後、システム権限を維持するために WMIC タスクを作成したことです。
	悪意のあるダウンロードソースへの接続	脅威検出モデルは、サーバーが悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	高リスクアプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の高リスクアプリケーションが不審なコマンドを実行したことを検出しました。高リスクアプリケーションは、Web サービス、データベースサービス、スクリプト、スケジュールされたタスク、または自己起動アイテムである可能性があります。これらのアプリケーションは侵害され、攻撃者によって悪意のあるコマンドを実行するために使用された可能性があります。
	高リスクアプリケーションでの不審なファイルの作成	脅威検出モデルは、Web アプリケーションなどの機密性の高いサービスがサーバー上で実行可能ファイルまたはスクリプトを作成したことを検出しました。考えられる原因は、攻撃者が脆弱性を悪用して、ウイルスまたはトロイの木馬をサーバーに埋め込んだことです。
	不審なスクリプト操作	脅威検出モデルは、サーバー上で実行されているスクリプトに関連する一部のコマンドが非常に不審であることを検出しました。検出された脅威は、マルウェアまたは攻撃者によって引き起こされた可能性があります。
	不審なプロセスパス	脅威検出モデルは、サーバー上のプロセスが、通常のソフトウェアがインストールされていない異常なパスから開始されたことを検出しました。このプロセスは、ウイルス、トロイの木馬、または攻撃者がサーバーに侵入したときにもたらされるツールである可能性があります。
	不審なファイル名のプロセス	脅威検出モデルは、サーバー上のプロセスのファイルに不審なファイル名拡張子が含まれているか、ファイル名がシステムファイルの名前を模倣していることを検出しました。このプロセスは、ウイルス、トロイの木馬、または攻撃者がサーバーに侵入したときにもたらされるツールである可能性があります。
	不審なポートリスニング	脅威検出モデルは、サーバー上で不審なポートリスニングを検出しました。攻撃者はサーバーに侵入した後、nc などのソフトウェアを使用してポートリスニングを行います。このようにして、攻撃者はサーバーから情報を盗むための隠された通信チャネルを確立します。
	不審なコマンド	脅威検出モデルは、サーバー上の情報収集コマンドが不審であるか、実行中のプロセス間の呼び出しが不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	不審なファイルの実行	脅威検出モデルは、サーバー上のファイルが不審な方法で書き込まれ、実行されたことを検出しました。このファイルは、外部ソースからダウンロードされ、攻撃者によって実行された悪意のあるツールである可能性があります。
	レジストリ構成への不審な変更	脅威検出モデルは、プロセスがサーバー上のレジストリ構成を変更しようとしていることを検出しました。考えられる原因は、攻撃者がサーバーにバックドアコードを書き込んだか、攻撃者がシステム権限を取得した後に機密構成を変更したことです。
	不審なコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが不審なコマンドのシーケンスを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者が通常実行するコマンドのシーケンスに似ています。不審なコマンドの親プロセスを確認することをお勧めします。親プロセスは、リモートコントロールトロイの木馬、脆弱な Web サービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	データダンプ用の ProcDump	脅威検出モデルは、ProcDump プロセスがプロセスメモリに保存されている機密データをサーバー上のディスクに保存していることを検出しました。この保存操作により、機密データが侵害される可能性があります。
	BITSAdmin を使用した不審なプロセスの起動	脅威検出モデルは、BITSAdmin ツールを使用してサーバー上で不審なプロセスが開始されていることを検出しました。考えられる原因は、攻撃者が BITSAdmin ツールを使用して悪意のあるプログラムをサーバーに埋め込み、悪意のあるコマンドを実行したことです。
	Windows システムファイルを使用した悪意のあるコードのロード	脅威検出モデルは、悪意のあるコマンドがサーバー上で実行されていることを検出しました。考えられる原因は、攻撃者が Windows システムファイルを使用して悪意のあるコードを実行し、セキュリティソフトウェアの検出を回避したことです。
	自己起動アイテムへの不審な変更	脅威検出モデルは、プロセスがサーバー上の自己起動アイテムを変更しようとしていることを検出しました。変更は、攻撃者またはトロイの木馬によってシステム権限を維持するために行われた可能性があります。
	attrib.exe を使用したファイルの読み取り専用属性と隠し属性の変更	脅威検出モデルは、プロセスが attrib.exe を使用してサーバー上のファイルの読み取り専用属性と隠し属性を変更しようとしていることを検出しました。
	システムレジストリへの自己起動アイテムの追加	脅威検出モデルは、プログラムがサーバー上のレジストリに自己起動アイテムを追加していることを検出しました。このプログラムは、マルウェア、バックドアが挿入されたプロモーションソフトウェア、またはサーバーが侵害された後に攻撃者によって挿入された永続的なタスクである可能性があります。このプログラムは、通常のソフトウェアによって自己起動を実現するためにも使用されている可能性があります。プログラムが信頼できるプログラムかどうかを確認することをお勧めします。
	FTP を使用したリモートサーバーからディスクへの不審なファイルダウンロード	脅威検出モデルは、プロセスがサーバー上の FTP を使用してリモートサーバーから不審なファイルをダウンロードしようとしていることを検出しました。
	RDP を使用したディスクへの不審なファイルコピー	脅威検出モデルは、攻撃者が RDP を使用してサーバーに不審なファイルをコピーしようとしていることを検出しました。考えられる原因は、攻撃者がサーバーにログインするために使用される RDP パスワードを盗んだか、クラックしたことです。
	システムバックアップファイルの異常な削除	脅威検出モデルは、プロセスがサーバーからシステムバックアップファイルを削除しようとしていることを検出しました。考えられる原因は、ランサムウェアがファイルの復元を妨げ、身代金を要求するためにシステムバックアップファイルを削除したことです。
	システムログの異常な削除	脅威検出モデルは、プロセスがシステムログを削除しようとしていることを検出しました。考えられる原因は、マルウェアまたは攻撃者が検出を回避するためにシステムログを削除したことです。
	不審な攻撃者ツール	脅威検出モデルは、サーバー上で実行されている一部のコマンドが、攻撃者が通常使用するツールと非常によく似ていることを検出しました。これらのコマンドは、侵入プロセス中に攻撃者によって実行される可能性があります。
	Windows での不審な権限昇格	脅威検出モデルは、サーバー上で実行されている一部のコマンドが非常に不審であることを検出しました。考えられる原因は、攻撃者が Windows システムの脆弱性またはアプリケーションの脆弱性を悪用して権限を昇格させたことです。
	異常なレジストリ操作	脅威検出モデルは、Windows レジストリを管理するために使用された一部のコマンドが非常に不審であることを検出しました。考えられる原因は、マルウェアまたは攻撃者がサーバーが侵害された後に一部のレジストリ構成を変更したことです。
	データベースエクスポートツールの不審な呼び出し	脅威検出モデルは、サーバー上のプロセスの履歴動作を分析し、データベースエクスポートツールの不審な呼び出しを検出しました。考えられる原因は、サーバーが侵害された後、攻撃者がサーバーからデータを盗んだことです。
	システムツールの不審な呼び出し	脅威検出モデルは、サーバー上のプロセスが不審な方法でシステムツールを呼び出していることを検出しました。考えられる原因は、トロイの木馬または攻撃者がツールを呼び出して、悪意のあるファイルのダウンロード、悪意のあるコードの実行、暗号化、復号などの悪意のある操作を実行し、一般的なセキュリティソフトウェアの検出を回避したことです。
	システムセキュリティ構成への不審な変更	脅威検出モデルは、サーバー上のプロセスがシステムのセキュリティ構成を変更していることを検出しました。考えられる原因は、マルウェアまたは攻撃者がファイアウォールとアンチウイルスソフトウェアの構成を変更して検出を回避したことです。
	悪意のあるコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	Cobalt Strike によって実行された悪意のあるコマンド	脅威検出モデルは、Cobalt Strike エージェントがサーバーにインストールされ、Cobalt Strike エージェントが悪意のあるコマンドを実行していることを検出しました。
	FTP アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の FTP アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が FTP アプリケーションの弱いパスワードを悪用し、FTP を使用してバッチファイルを実行したことです。
	Java アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の Java プロセスが悪意のあるプログラムのダウンロードやバックドアの追加などの高リスク操作を実行したことを検出しました。考えられる原因は、脆弱な Web フレームワークまたはミドルウェアを使用していることです。
	LSASS によって実行された不審なプロセス	脅威検出モデルは、lsass.exe プロセスがサーバー上で不審なコマンドを実行したことを検出しました。 lsass.exe プロセスは、Windows オペレーティングシステムのセキュリティ認証プロセスです。このプロセスはユーザーを認証し、トークンを生成します。攻撃者は複数のシステムの脆弱性を悪用して、このプロセスに対してバッファオーバーフロー攻撃を開始し、ターゲットプロセスの完全な制御権限を取得します。
	MySQL によって実行された不審なコマンド	脅威検出モデルは、サーバー上の MySQL サービスが不審なコマンドを実行したことを検出しました。考えられる原因には、MySQL サービスの弱いパスワードと、SQL ステートメントが挿入された Web サービスが含まれます。
	PostgreSQL アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の PostgreSQL アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因には、PostgreSQL サービスの弱いパスワードと、悪意のある SQL ステートメントが挿入された Web サービスが含まれます。
	Python アプリケーションによる不審なコマンドの実行	脅威検出モデルは、サーバー上の Python アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、サーバー上の Python ベースの Web アプリケーションに RCE の脆弱性があり、侵害されたことです。
	regsvr32 によって実行された不審なコマンド	脅威検出モデルは、regsvr32.exe がサーバー上で不審なコマンドを実行していることを検出しました。考えられる原因は、攻撃者が Windows OCX ファイルに悪意のあるコードを挿入して検出を回避し、regsvr32.exe を使用してサーバーのメモリでコードを実行したことです。
	rundll32 によって実行された不審なコマンド	脅威検出モデルは、rundll32.exe がサーバー上で不審なコマンドを実行していることを検出しました。考えられる原因は、攻撃者が Windows DLL ファイルに悪意のあるコードを挿入して検出を回避し、rundll32.exe を使用してサーバーのメモリでコードを実行したことです。
	SQL Server によるディスクへの不審なファイル書き込み	脅威検出モデルは、サーバー上の SQL Server アプリケーションが不審なファイルをディスクに書き込もうとしていることを検出しました。考えられる原因は、攻撃者が Redis アプリケーションの弱いパスワードをクラックして、SQL Server アプリケーションで悪意のある SQL ステートメントを実行したことです。
	SQL Server アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の SQL Server アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が SQL Server アプリケーションの弱いパスワードをクラックし、SQL Server アプリケーションのコマンド実行コンポーネントを使用して悪意のあるコマンドを実行したことです。
	Tomcat によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Tomcat コンテナが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が Tomcat コンテナの Java アプリケーションの Webシェルまたは RCE の脆弱性を悪用して悪意のあるコマンドを実行したことです。
	Windows Defender 構成の変更	脅威検出モデルは、サーバーがレジストリを変更して Windows Defender の一部の機能を無効にしていることを検出しました。変更操作は、サーバーが侵害された後、検出と防止を回避しようとした攻撃者によって実行された可能性があります。
	ポート 3389 の Windows RDP 構成の変更	脅威検出モデルは、サーバーの RDP 構成が変更されていることを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後、権限を維持するために RDP 構成を変更したことです。
	Windows でのスケジュールされたタスクの作成	脅威検出モデルは、サーバー上で不審なスケジュールされたタスクが作成されていることを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後、権限を維持するためにサーバーにバックドアを挿入したことです。
	Windows での不審なサービススタートアップアイテムの作成	脅威検出モデルは、アップストリームプロセスがサーバー上で不審なサービススタートアップアイテムを作成しようとしていることを検出しました。考えられる原因は、攻撃者がサーバーに悪意のあるプログラムを挿入したことです。悪意のあるプログラムが実行されている場合、サービススタートアップアイテムは権限を維持するために作成されます。
	Windows でのログオンプログラムの侵害	脅威検出モデルは、サーバー上の一部のプログラムがレジストリの WDigest 項目を変更したことを検出しました。考えられる原因は、攻撃者が UseLogonCredential の値を変更して、ログオンプログラムをプレーンテキストで保存できるようにしたことです。このようにして、攻撃者はサーバーのメモリからログオンプログラムを盗むことができます。
	Windows での mshta を使用した HTML スクリプトの実行	脅威検出モデルは、サーバー上のプロセスが mshta を呼び出して HTML ページに埋め込まれたスクリプトを実行しようとしていることを検出しました。このようにして、攻撃者はサーバーに悪意のあるプログラムを埋め込むことができます。
	Windows での不審なポートフォワーディング	脅威検出モデルは、内部ネットワークでポートフォワーディングのためのコマンドが実行されていることを検出しました。考えられる原因は、攻撃者が内部ネットワークでラテラルムーブメント攻撃を開始していたことです。
	Windows ファイアウォール構成の変更	脅威検出モデルは、プロセスが Windows ファイアウォールの構成を変更しようとしていることを検出しました。
	Windows での自己起動アイテムの追加	脅威検出モデルは、異常な自己起動アイテムがサーバーに追加されたことを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後、権限を維持するために悪意のあるプログラムを自己起動アイテムに追加したことです。
	Windows アカウントの異常な操作	脅威検出モデルは、Windows アカウントを使用してサーバーで操作が実行され、実行されているコマンドが不審であることを検出しました。考えられる原因は、マルウェアまたは攻撃者が Windows アカウントを使用してサーバーで操作を実行したことです。
その他	セキュリティセンターエージェントの異常な切断	脅威検出モデルは、サーバー上のセキュリティセンターエージェントのメインプロセス AliYunDun が異常に停止し、エージェントが Alibaba Cloud から切断されたことを検出しました。切断はネットワークの不安定性が原因である可能性があり、短時間続きます。もう 1 つの考えられる原因は、サーバーが侵害された後にセキュリティセンターエージェントがサーバーからアンインストールされたことです。この場合、サーバーにログインして、セキュリティセンターエージェントが実行されているかどうかを確認する必要があります。エージェントが実行されていない場合は、エージェントを起動します。
Webシェル	Webシェルファイル	脅威検出モデルは、サーバー上で不審な Webシェルファイルを検出しました。 Webシェルファイルは、攻撃者が Web サイトに侵入した後に権限を維持するために挿入および使用されるバックドアファイルである可能性があります。
異常なログイン	悪意のある IP アドレスを使用したログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバーにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、ECS インスタンスにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	悪意のある IP アドレスを使用した FTP ログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバー上の FTP アプリケーションにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、FTP アプリケーションにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	悪意のある IP アドレスを使用した MySQL ログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバー上の MySQL アプリケーションにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、MySQL アプリケーションにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	悪意のある IP アドレスを使用した SQL Server ログイン	脅威検出モデルは、悪意のある IP アドレスを使用してサーバー上の SQL Server アプリケーションにログインしたことを検出しました。この IP アドレスは攻撃を開始するために使用されました。この操作を実行しなかった場合は、SQL Server アプリケーションにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	バックドアアカウントを使用したサーバーログイン	脅威検出モデルは、攻撃者がサーバーにバックドアアカウントを挿入し、バックドアアカウントを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、バックドアアカウントをすぐに削除することをお勧めします。
	弱いパスワードのアカウントを使用したサーバーログイン	脅威検出モデルは、弱いパスワードのアカウントを使用してサーバーにログインしたことを検出しました。このログインは、自分または攻撃者によって実行される可能性があります。ほとんどの場合、攻撃者は弱いパスワードをクラックしてサーバーに侵入します。強力なパスワードをすぐに設定することをお勧めします。
	不審な外部ログインスキャン	脅威検出モデルは、サーバーが SSH、RDP、SMB などのプロトコルに対してブルートフォース攻撃を頻繁に開始したことを検出しました。考えられる原因は、サーバーが攻撃され、攻撃者によって他のサーバーを攻撃するために使用されたことです。
	異常な場所からのログイン	脅威検出モデルは、サーバーが短期間のうちに互いに遠く離れた 2 つの場所からログインされたことを検出しました。場所の 1 つは通常のログイン場所です。異なる場所からのログインは、ログインリクエストの 1 つが通常の場所ではなく異常な場所から開始されたことを示しています。この操作を実行しなかった場合は、サーバーにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	異常なアカウントを使用したログイン	脅威検出モデルは、管理者グループに異常なアカウントを追加し、そのアカウントを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、アカウントをすぐに削除することをお勧めします。
	複数の無効なユーザーによって開始されたブルートフォース攻撃による ECS インスタンスの侵害	脅威検出モデルは、複数の無効なユーザーが同じ IP アドレスを使用してサーバーにログインしたことを検出しました。この操作を実行しなかった場合は、ECS インスタンスにログインするために使用されるパスワードをすぐに変更することをお勧めします。
	SSH へのブルートフォース攻撃による ECS インスタンスの侵害	脅威検出モデルは、サーバーが SSH へのブルートフォース攻撃を受けていることを検出しました。攻撃者は SSH サービスパスワードをクラックし、数回試行した後、サーバーにログインしました。
	不審なコマンドシーケンス実行前の SSH 経由の ECS インスタンスログイン	脅威検出モデルは、IP アドレスを使用してサーバーにログインした後、サーバー上でいくつかの悪意のあるコマンドが実行されたことを検出しました。考えられる原因は、サーバーにログインするために使用されるパスワードが弱いか、漏洩していることです。
	異常な時間範囲内での ECS インスタンスへのログイン	サーバーがログインされた時刻が、指定したログイン時間範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
	異常なアカウントを使用した ECS インスタンスへのログイン	サーバーにログインするために使用されるアカウントが、正当なアカウントの条件と一致しません。ログインが有効かどうかを確認することをお勧めします。
	異常な IP アドレスを使用した ECS インスタンスへのログイン	サーバーにログインするために使用される IP アドレスが、指定した IP アドレスの範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
	異常な場所からの ECS インスタンスへのログイン	サーバーがログインされた場所が、指定したログイン場所の範囲内ではありません。ログインが有効かどうかを確認することをお勧めします。
異常なネットワーク接続	ポートフォワーディング	脅威検出モデルは、サーバー上のプロセスがポートフォワーディング用のトンネルを設定しようとしていることを検出しました。考えられる原因は、攻撃者が侵害されたサーバーを使用して、同じ内部ネットワークにデプロイされている他のサーバーを攻撃したことです。
	悪意のあるドメイン名へのアクセス	脅威検出モデルは DNS トラフィックを分析し、サーバーが高リスクドメイン名を解決したことを検出しました。ドメイン名は、リモートコントロールのドメイン名、ボットネット組織のドメイン名、マイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入してサーバーを悪用した可能性があります。
	Meterpreter を使用したリバースシェル接続	脅威検出モデルは、サーバー上で不審なプロセスを検出しました。このプロセスは、攻撃者のサーバーのリバースシェル接続を確立して、Meterpreter を使用してサーバーでより多くの操作を実行しようとしていました。詳細については、「複数のディメンションからリバースシェルを検出する」をご参照ください。
	マイニングプールとの通信	脅威検出モデルは、サーバーがマイニングプールの IP アドレスと通信したことを検出しました。考えられる原因は、サーバーが攻撃者によって侵入され、マイニングに使用されたことです。
	内部ネットワークスキャン	脅威検出モデルは、サーバー上のプロセスが短期間のうちに複数の内部 IP アドレスの指定されたポートに対してスキャンを開始したことを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後にラテラルムーブメント攻撃を開始しようとしたことです。
	不審な機密ポートスキャン	脅威検出モデルは、サーバー上のプロセスが短期間のうちに機密ポートに多数のネットワークリクエストを送信したことを検出しました。この動作は、ポートスキャン動作である可能性があります。
	異常トラフィック	異常なトラフィック脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データの侵害、不審なプロキシとトンネルによって発生する可能性があります。アラートの詳細に基づいてトラフィックを処理することをお勧めします。
	悪意のあるダウンロードソースへのプロアクティブな接続	脅威検出モデルは、サーバーが HTTP を使用して悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Windows での異常なネットワーク接続	脅威検出モデルは、サーバー上のプロセスの接続が異常であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
不審なアカウント	不審なアカウントを使用したシステムログイン	脅威検出モデルは、ユーザーが承認されていないアカウント、システム組み込みアカウント、または攻撃者アカウントを使用してシステムにログインしようとしていることを検出しました。ログインは攻撃者によって実行される可能性があります。

コンテナのアラート

アラートタイプ	アラート名	説明
マルウェア	悪意のあるプログラム	脅威検出モデルは、悪意のあるプログラムがサーバー上で実行されていることを検出しました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティプログラムです。
	悪意のある IP アドレスへのアクセス	脅威検出モデルは、サーバー上のプロセスが悪意のある IP アドレスに接続しようとしていることを検出しました。この IP アドレスは、C&C サーバーの IP アドレス、または攻撃者によって悪用されるマイニングプールの IP アドレスである可能性があり、リスクが高くなります。このプロセスは、攻撃者によって挿入された悪意のあるファイルである可能性があります。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体は、実行のために通常のプログラムファイルに悪意のあるコードを書き込みます。したがって、多数の通常のプログラムが感染し、ウイルスホストとして検出されることがよくあります。
	攻撃者ツール	脅威検出モデルは、サーバー上で攻撃者ツールを検出しました。攻撃者ツールとは、攻撃者が侵入プロセス中に権限を昇格させ、機密データを盗むために悪用するツール、セキュリティソフトウェアをアンインストールするために使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	バックドアプログラム	脅威検出モデルは、バックドアプログラムがサーバー上で実行されていることを検出しました。バックドアプログラムは、システムに挿入され、攻撃者によってサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	不審なプログラム	脅威検出モデルは、不審なプログラムがサーバー上で実行されていることを検出しました。ほとんどの場合、不審なプログラムは悪意のあるコードの特性を持っているか、非常に不審で分類が必要なプログラムの特性を持っています。コードまたはプログラムの詳細に基づいて不審なプログラムを判断する必要があります。
	ランサムウェア	脅威検出モデルは、ランサムウェアがサーバー上で実行されていることを検出しました。ランサムウェアは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得るための悪意のあるプログラムです。
	トロイの木馬	脅威検出モデルは、サーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬は偽装してシステムに挿入された後、悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルは、ワームがサーバー上で実行されていることを検出しました。ワームは、侵害されたサーバーから別のサーバーに拡散するために自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルは、マイニングプログラムがサーバー上で実行されていることを検出しました。マイニングプログラムは、サーバーの計算リソースを消費して暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは、CPU 使用率が非常に高く、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変異型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自身を複製し、バックグラウンドで実行されます。このようにして、システムによってクリーンアップされるのを回避します。
	DDoS トロイの木馬	脅威検出モデルは、DDoS トロイの木馬がサーバー上で実行されていることを検出しました。 DDoS トロイの木馬は、侵害されたサーバーから命令を受信して、特定のサーバーに対して DDoS 攻撃を開始するために使用される悪意のあるプログラムです。
不審なプロセス	ファイル時間の改ざん	脅威検出モデルは、サーバー上のプロセスがファイル時間を変更しようとしたことを検出しました。このプロセスは、異常なファイルの実際の作成、アクセス、または変更時間を偽造して検出を回避するために、実際のファイル時間を模倣する攻撃者によってトリガーされる可能性があります。
	セキュリティリスクを引き起こす可能性のある Docker でのリモート API デバッグ	脅威検出モデルは、サーバー上で Docker リモートデバッグインターフェイスが 0.0.0.0 に対して開かれていることを検出しました。インターネット上に公開されているインターフェイスは、ワームによってすぐに侵入されます。インターフェイスが信頼できるネットワーク上でのみ公開されていることを確認してください。
	悪意のあるダウンロードソースへの接続	脅威検出モデルは、サーバーが悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	プロセスによって実行された不審なコマンド	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、プロセスが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者がサービスの RCE の脆弱性を悪用してコマンドを実行したことです。
	不審なエンコードされたコマンド	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	権限のあるコンテナの不審な起動。	脅威検出モデルは、サーバー上で不審な権限のあるコンテナが起動され、コンテナのセキュリティに影響を与えていることを検出しました。コンテナが侵害されると、サーバー上のコンテナとアセットが影響を受けます。権限のあるコンテナが信頼できるイメージソースを使用し、コンテナで実行されているサービスが侵入から保護されていることを確認してください。
	不審なファイルの実行	脅威検出モデルは、サーバー上のファイルが不審な方法で書き込まれ、実行されたことを検出しました。このファイルは、外部ソースからダウンロードされ、攻撃者によって実行された悪意のあるツールである可能性があります。
	不審な動作	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、不審なコマンドを検出しました。
	コンテナネットワークスキャン動作	脅威検出モデルは、サーバー上のコンテナがプロアクティブに不審なネットワークスキャンを実行していることを検出しました。スキャンは、攻撃者がサーバーを侵害し、侵害されたサーバーから他のサーバーに移動するために行われる可能性があります。
	高リスクコンテナ関連操作	脅威検出モデルは、サーバー上で高リスクコンテナ関連操作が実行されていることを検出しました。高リスク操作には、高リスク権限を使用したコンテナの起動、機密ディレクトリ、ファイル、ポートのコンテナへのマッピングなどが含まれます。
	コンテナ内での不審なコマンドの実行	脅威検出モデルは、コンテナ内で不審なコマンドが実行されていることを検出しました。これは潜在的な侵入を示しています。
	コンテナ内の資格情報の収集	脅威検出モデルは、コンテナ内の機密情報とファイルへのアクセスを検出しました。情報とファイルには、Docker/Swarm/Kubernetes の構成ファイル、データベース接続構成、ログオンプログラム、AccessKey ペア、証明書、秘密鍵ファイルが含まれます。コンテナが侵害され、データが漏洩したかどうかを確認することをお勧めします。
	コンテナ内の権限昇格またはコンテナエスケープ	脅威検出モデルは、コンテナ内の権限を昇格させるために使用された不審なスクリプトまたは命令、または脆弱性を検出しました。考えられる原因は、コンテナが侵害されたことです。
	コンテナ情報の収集	脅威検出モデルは、サーバー上のコンテナ内で不審なコマンドが実行されたことを検出しました。これらのコマンドは通常、攻撃者がコンテナが侵害された後にコンテナ内の情報を収集するために使用します。操作が信頼できる操作でない場合は、すぐにコンテナをリセットすることをお勧めします。信頼できる操作には、セキュリティソフトウェアの操作と管理者の O&M 操作が含まれます。
	悪意のあるコンテナイメージの実行	脅威検出モデルは、悪意のあるコンテナイメージがサーバー上で実行されていることを検出しました。このイメージには、バックドア、マイニングプログラム、ウイルス、または既知の重大な脆弱性が含まれている可能性があります。トラブルシューティングを実行し、信頼できるイメージリソースを使用することをお勧めします。
	Docker ファイルの異常な操作	脅威検出モデルは、サーバー上の Docker プロセスがシステムのコアサービス構成または機密ファイルを変更していることを検出しました。考えられる原因は、攻撃者が Docker サービスの脆弱性を悪用して一部の Docker サービスをハイジャックし、そのサービスを使用して CVE-2019-5736 Docker runC や CVE-2019-14271 Docker CP などのコンテナエスケープ攻撃を開始したことです。現在のバージョンの Docker コンテナにこのような脆弱性があるかどうかを確認することをお勧めします。
	FTP アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の FTP アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が FTP アプリケーションの弱いパスワードを悪用し、FTP を使用してバッチファイルを実行したことです。
	Java アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の Java プロセスが悪意のあるプログラムのダウンロードやバックドアの追加などの高リスク操作を実行したことを検出しました。考えられる原因は、脆弱な Web フレームワークまたはミドルウェアを使用していることです。
	Kubernetes サービスアカウントの異常な動作	脅威検出モデルは、コンテナ内で異常な命令を検出しました。この命令は、Kubernetes サービスアカウントを使用して Kubernetes API サーバーに接続しようとしました。操作が信頼できる操作かどうかを確認することをお勧めします。信頼できる操作には、セキュリティソフトウェアの操作と管理者の O&M 操作が含まれます。アカウントには、最小権限の原則に基づいて権限が付与されていることを確認してください。これにより、コンテナが侵害された後、攻撃者が侵害されたコンテナから Kubernetes API を使用して他のコンテナに移動するのを防ぎます。
	Linux での不審なコマンドシーケンス	脅威検出モデルは、サーバー上のプロセスが不審なコマンドのシーケンスを実行したことを検出しました。これらのコマンドは、サーバーが侵害された後に攻撃者が通常実行するコマンドのシーケンスに似ています。不審なコマンドの親プロセスを確認することをお勧めします。親プロセスは、リモートコントロールトロイの木馬、脆弱な Web サービス、または悪意のあるコードが挿入されたプロセスである可能性があります。
	Linux での不審なコマンドの実行	脅威検出モデルは、サーバー上のプロセスのコマンドラインデータが非常に不審であることを検出しました。これは、トロイの木馬、ウイルス、または攻撃者に関連している可能性があります。
	Oracle によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Oracle データベースが不審なコマンドを実行したことを検出しました。考えられる原因は、Oracle データベースのパスワードが漏洩した後、攻撃者がリモートコマンドを実行したことです。
	Tomcat によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Tomcat コンテナが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が Tomcat コンテナの Java アプリケーションの Webシェルまたは RCE の脆弱性を悪用して悪意のあるコマンドを実行したことです。
K8s 異常動作	悪意のあるイメージに基づくポッドの起動	脅威検出モデルは、悪意のあるイメージを含むポッドが Kubernetes クラスタで起動されたことを検出しました。イメージが信頼できるイメージソースからのものであるかどうか、およびポッド内のプロセスにバックドアやマイニングプログラムなどの悪意のあるプログラムがあるかどうかを確認することをお勧めします。
	Kubernetes API サーバーで実行された不審な命令	脅威検出モデルは、Kubernetes API サーバーで不審な命令が実行されたことを検出しました。考えられる原因は、攻撃者が API サーバーの資格情報を取得して使用したことです。サーバーが侵害されているかどうかを確認することをお勧めします。
	Kubernetes クラスタ内の Secrets への異常なアクセス	脅威検出モデルは、Kubernetes クラスタ内で Secrets が列挙されていることを検出しました。考えられる原因は、攻撃者がクラスタが侵害された後、Kubernetes クラスタ内の Secrets の機密情報を盗んでいたことです。操作が信頼できるプログラムまたは管理者によって実行されたかどうかを確認することをお勧めします。
	Kubernetes サービスアカウントのアプリケーション間での転送	脅威検出モデルは、サービスアカウントの 1 つが履歴ベースライン外の権限をリクエストしたか、認証に数回失敗したことを検出しました。考えられる原因は、攻撃者がポッドに侵入し、サーバーから取得したサービスアカウントの資格情報を使用して API サーバーを攻撃したことです。トラブルシューティングをすぐに実行することをお勧めします。
	Kubernetes API ログでの匿名ユーザーの認証の成功	脅威検出モデルは Kubernetes API ログを分析し、匿名ユーザーが Kubernetes クラスタにログインしたことを検出しました。ほとんどの場合、匿名ユーザーは Kubernetes クラスタの O&M に使用できません。匿名ユーザーがクラスタにログインし、クラスタがインターネットに公開されている場合、クラスタは高リスクです。操作が信頼できる管理者によって実行されたかどうかを確認し、匿名ユーザーのアクセス権限をすぐに取り消すことをお勧めします。
	機密ノードディレクトリのマウント	脅威検出モデルは、ポッドの起動時に機密ディレクトリまたはファイルがマウントされたことを検出しました。考えられる原因は、攻撃者が機密ファイルをマウントして、ポッドレイヤーからノードレイヤーにエスケープして永続化を実現したことです。操作が信頼できるかどうかを確認することをお勧めします。
Webシェル	Webシェルファイル	脅威検出モデルは、サーバー上で不審な Webシェルファイルを検出しました。 Webシェルファイルは、攻撃者が Web サイトに侵入した後に権限を維持するために挿入および使用されるバックドアファイルである可能性があります。
異常なネットワーク接続	不審なアウトバウンド接続	脅威検出モデルは、サーバーが Web サイトにアクセスしようとしていることを検出しました。 Web サイトは、マイニングプールアドレス、C&C バックドア、ボットネット組織のドメイン名に関連している可能性があります。
	マイニングプールとの通信	脅威検出モデルは、サーバーがマイニングプールの IP アドレスと通信したことを検出しました。考えられる原因は、サーバーが攻撃者によって侵入され、マイニングに使用されたことです。
	内部ネットワークスキャン	脅威検出モデルは、サーバー上のプロセスが短期間のうちに複数の内部 IP アドレスの指定されたポートに対してスキャンを開始したことを検出しました。考えられる原因は、攻撃者がサーバーが侵害された後にラテラルムーブメント攻撃を開始しようとしたことです。
	Redis によって実行された不審なコマンド	脅威検出モデルは、攻撃者が Redis サービスに接続した後、サーバー上の Redis サービスが悪意のある SQL ステートメントを実行したことを検出しました。この場合、攻撃者はサーバーを制御した可能性があります。

Alibaba Cloud プラットフォームのアラート

アラートタイプ	アラート名	説明
	セキュリティグループルールの不審な列挙	脅威検出モデルは、Alibaba Cloud アカウントが API を使用してセキュリティグループポリシーを列挙したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	ユーザーの不審な列挙	脅威検出モデルは、Alibaba Cloud アカウントが API を使用してすべてのユーザーを列挙したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	特定のロールの不審な列挙	脅威検出モデルは、Alibaba Cloud アカウントが API を使用して特定のロールを列挙したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	セキュリティグループルールの不審な削除	脅威検出モデルは、Alibaba Cloud アカウントが API を使用してセキュリティグループルールを削除したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	セキュリティグループルールへの不審な変更	脅威検出モデルは、Alibaba Cloud アカウントが API を使用してセキュリティグループルールを変更したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	ECS パスワード変更の不審な動作	脅威検出モデルは、Alibaba Cloud アカウントが API を使用して ECS インスタンスにログインするために使用されるパスワードを変更したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	セキュリティグループルールの不審な追加	脅威検出モデルは、Alibaba Cloud アカウントが API を使用してセキュリティグループルールを追加したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	クラウドアシスタントの異常なコマンド	脅威検出モデルは、Alibaba Cloud アカウントがクラウドアシスタント API を使用して悪意のあるコマンドを実行したことを検出しました。これは高頻度の動作ではありませんでした。考えられる原因は、攻撃者が悪意のある操作を実行するために AccessKey ペアを取得したことです。
	ActionTrail 無効	脅威検出モデルは、Alibaba Cloud アカウントが API を使用して ActionTrail を無効にしたことを検出しました。考えられる原因は、攻撃者が悪意のある動作が記録されないように ActionTrail を無効にしたことです。セキュリティ上の理由から、ActionTrail を有効にしておくことをお勧めします。
	ActionTrail から OSS へのログ配信無効	脅威検出モデルは、Alibaba Cloud アカウントが API を使用して ActionTrail を無効にしたことを検出しました。考えられる原因は、攻撃者が悪意のある動作が記録されないように ActionTrail を無効にしたことです。セキュリティ上の理由から、ActionTrail から Simple Log Service へのログ配信機能を有効にすることをお勧めします。
	ActionTrail から Simple Log Service へのログ配信無効	脅威検出モデルは、Alibaba Cloud アカウントが API を使用して ActionTrail を無効にしたことを検出しました。考えられる原因は、攻撃者が悪意のある動作が記録されないように ActionTrail を無効にしたことです。セキュリティ上の理由から、ActionTrail から Simple Log Service へのログ配信機能を有効にすることをお勧めします。
	データベースへの異常なパブリックアクセス	検出モデルは、データベースをパブリックアクセス可能に変更したことを識別しました。この操作が意図的なものかどうかを確認することをお勧めします。
	異常なロールベースの権限トラバーサル	検出モデルは、複数のロールの権限ポリシーをトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	単一のサブアカウントの権限ポリシーの異常なトラバーサル	検出モデルは、サブアカウントとそれに関連付けられたユーザーグループの権限ポリシーをトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	複数のサブアカウントの権限ポリシーの異常なトラバーサル	検出モデルは、複数のサブアカウントの権限ポリシーをトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	OSS バケットの権限ポリシーの異常なトラバーサル	検出モデルは、さまざまな OSS バケットのアクセス権限をトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	RDS リソースの異常なトラバーサル	検出モデルは、異なるリージョンにわたって RDS インスタンスをトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	ECS リソースの異常なトラバーサル	検出モデルは、異なるリージョンにわたって ECS インスタンスをトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	権限のあるサブアカウントの異常な作成	検出モデルは、管理者権限を持つサブアカウントを作成し、Web コンソールログインを有効にしたことを識別しました。
	権限のあるロールの異常な作成	検出モデルは、作成した RAM ロールがアカウント間で使用でき、管理者権限が付与されていることを識別しました。
	機密 API を呼び出す不審な ID	検出モデルは、アカウントが機密 API を呼び出したことを識別しました。ユーザーの ID を確認することをお勧めします。
	外部ソースによってアクセスされた ECS インスタンスロールの資格情報	検出モデルは、ECS インスタンスロールの資格情報が外部 IP によってアクセスされていることを識別しました。これは資格情報の漏洩を示している可能性があります。
	他の Alibaba Cloud アカウントによってアクセスされた ECS ロールの資格情報	検出モデルは、ECS インスタンスロールの資格情報が他の Alibaba Cloud アカウントによってアクセスされていることを識別しました。
	ECS ロールの資格情報にアクセスした後に機密 API を呼び出す不審な ID	検出モデルは、ECS インスタンスロールの資格情報にアクセスした後、機密 API を呼び出したことを識別しました。操作の正当性を調査することをお勧めします。
	RAM ユーザーがコンソールにログインして機密操作を実行する	検出モデルは、RAM ユーザーが Web コンソールにログインして機密操作を実行したことを識別しました。
	AccessKey を使用するハッカーツール	検出モデルは、AccessKey がハッカーツールによって使用されていることを識別しました。
	異常な権限検出	検出モデルは、さまざまなクラウドサービスの API 呼び出し権限をトラバースしていることを識別しました。オペレーターの ID を確認することをお勧めします。
	AccessKey を使用する悪意のある IP	悪意のある IP が AccessKey を呼び出していることが検出されました。この操作が自分によって実行されていないことを確認した場合は、すぐに AccessKey を無効にして交換してください。
	異常な AccessKey 呼び出し	検出モデルは、アカウントが不審な API 操作を実行したことを識別しました。これは盗難を示している可能性があります。
	異なる場所からの RAM サブアカウントログイン	検出モデルは、RAM サブアカウントが異なる場所からログインしたことを識別しました。これは盗難を示している可能性があります。
	不審な OSS アクセス	検出モデルは、OSS バケットへの不審なアクセスを識別しました。

トラフィックを分析して生成されたアラート

アラートタイプ	アラート名	説明
異常なネットワーク接続	悪意のあるドメイン名へのアクセス	脅威検出モデルは DNS トラフィックを分析し、サーバーが高リスクドメイン名を解決したことを検出しました。ドメイン名は、リモートコントロールのドメイン名、ボットネット組織のドメイン名、マイニングプールアドレスなどの悪意のあるドメイン名である可能性があります。この場合、攻撃者がサーバーに侵入してサーバーを悪用した可能性があります。
	Meterpreter を使用したリバースシェル接続	脅威検出モデルは、サーバー上で不審なプロセスを検出しました。このプロセスは、攻撃者のサーバーのリバースシェル接続を確立して、Meterpreter を使用してサーバーでより多くの操作を実行しようとしていました。
	マイニングプールとの通信	脅威検出モデルは、サーバーがマイニングプールの IP アドレスと通信したことを検出しました。考えられる原因は、サーバーが攻撃者によって侵入され、マイニングに使用されたことです。
	異常なトラフィック	脅威検出モデルは、サーバー上のトラフィックを分析し、異常なトラフィックを検出しました。異常なトラフィックは、エクスプロイト、マルウェア通信、機密データの侵害、不審なプロキシとトンネルによって発生する可能性があります。アラートの詳細に基づいてトラフィックを処理することをお勧めします。
	悪意のあるダウンロードソースへのプロアクティブな接続	脅威検出モデルは、サーバーが HTTP を使用して悪意のあるダウンロードソースに接続しようとしていることを検出しました。考えられる原因は、攻撃者が弱いパスワードまたはコマンド実行の脆弱性を悪用して、リモートサーバーから悪意のあるファイルをダウンロードしたことです。
	Redis によって実行された不審なコマンド	脅威検出モデルは、攻撃者が Redis サービスに接続した後、サーバー上の Redis サービスが悪意のある SQL ステートメントを実行したことを検出しました。この場合、攻撃者はサーバーを制御した可能性があります。
Web アプリケーション脅威検出	SQL インジェクション	脅威検出モデルは HTTP トラフィックを分析し、サーバー上の Web サービスに SQL インジェクションの脆弱性がある疑いがあり、攻撃者によって悪用されたことを検出しました。
	高リスクの脆弱性の悪用の成功	脅威検出モデルは HTTP トラフィックを分析し、サーバーに高リスクの Web の脆弱性があり、攻撃者によって悪用されたことを検出しました。
	機密ファイルの漏洩	脅威検出モデルは HTTP トラフィックを分析し、サーバー上の機密ファイルが HTTP 経由で外部 IP アドレスによってアクセスされたことを検出しました。これにより、データ侵害が発生する可能性があります。
	Web サービスに対する攻撃の疑い	脅威検出モデルは、サーバーで生成された HTTP リクエストログにコマンドラインが含まれ、HTTP レスポンスログにコマンド出力含まれていることを検出しました。考えられる原因は、Web サービスでコマンド実行の脆弱性が検出され、攻撃者によって悪用されたことです。

ファイルコンテンツを分析して生成されたアラート

アラートタイプ	アラート名	説明
永続化	Linux での不審なスケジュールされたタスク	脅威検出モデルは、サーバー上で不審なスケジュールされたタスクを検出しました。このタスクは、攻撃者がサーバーに残した永続的な動作である可能性があります。
悪意のあるスクリプト	悪意のあるスクリプトファイルの検出	脅威検出モデルは、サーバー上で悪意のあるスクリプトファイルを検出しました。このファイルは、サーバーに侵入した攻撃者によって挿入された可能性があります。悪意のあるスクリプトのタグに基づいてファイルの内容が正当かどうかを確認することをお勧めします。その後、ファイルを処理します。
マルウェア	汚染された基本ソフトウェア	脅威検出モデルは、サーバー上で汚染された基本ソフトウェアを検出しました。ほとんどの場合、汚染された基本ソフトウェアは、悪意のあるコードが挿入されたシステムプログラムです。汚染された基本ソフトウェアは基本的な機能を提供しますが、密かに悪意のある動作を実行します。
	悪意のあるプログラム	脅威検出モデルは、悪意のあるプログラムがサーバー上で実行されていることを検出しました。悪意のあるプログラムとは、さまざまな悪意のある動作特性を持つプログラム、または中断や損傷を引き起こすサードパーティプログラムです。
	感染性ウイルス	脅威検出モデルは、感染性ウイルスがサーバー上で実行されていることを検出しました。感染性ウイルスは、高度な悪意のあるプログラムの一種です。ウイルス自体は、実行のために通常のプログラムファイルに悪意のあるコードを書き込みます。したがって、多数の通常のプログラムが感染し、ウイルスホストとして検出されることがよくあります。
	攻撃者ツール	脅威検出モデルは、サーバー上で攻撃者ツールを検出しました。攻撃者ツールとは、攻撃者が侵入プロセス中に権限を昇格させ、機密データを盗むために悪用するツール、セキュリティソフトウェアをアンインストールするために使用されるプログラム、または攻撃者がサーバーに侵入した後にシステムに挿入されるバックドアプログラムです。
	バックドアプログラム	脅威検出モデルは、バックドアプログラムがサーバー上で実行されていることを検出しました。バックドアプログラムは、システムに挿入され、攻撃者によってサーバーに継続的に侵入するために悪用される永続的なプログラムです。
	不審なプログラム	脅威検出モデルは、不審なプログラムがサーバー上で実行されていることを検出しました。ほとんどの場合、不審なプログラムは悪意のあるコードの特性を持っているか、非常に不審で分類が必要なプログラムの特性を持っています。コードまたはプログラムの詳細に基づいて不審なプログラムを判断する必要があります。
	ランサムウェア	脅威検出モデルは、ランサムウェアがサーバー上で実行されていることを検出しました。ランサムウェアは、サーバー上のすべての重要なデータファイルを暗号化してロックし、身代金を得るための悪意のあるプログラムです。
	トロイの木馬	脅威検出モデルは、サーバー上でトロイの木馬を検出しました。トロイの木馬は、サーバーに侵入するために使用される特別なプログラムです。トロイの木馬は偽装してシステムに挿入された後、悪意のあるプログラムをダウンロードしてリリースします。
	ワーム	脅威検出モデルは、ワームがサーバー上で実行されていることを検出しました。ワームは、侵害されたサーバーから別のサーバーに拡散するために自身を複製するプログラムの一種です。ワームは脆弱性を悪用し、ブルートフォース攻撃を開始する可能性があります。
	マイニングプログラム	脅威検出モデルは、マイニングプログラムがサーバー上で実行されていることを検出しました。マイニングプログラムは、サーバーの計算リソースを消費して暗号通貨をマイニングするプログラムの一種です。このタイプのプログラムは、CPU 使用率が非常に高く、悪意のあるプログラムをもたらします。
	自己変異型トロイの木馬	脅威検出モデルは、自己変異型トロイの木馬がサーバー上で実行されていることを検出しました。自己変異型トロイの木馬は、ファイルハッシュを変更するか、多数のパスに自身を複製し、バックグラウンドで実行されます。このようにして、システムによってクリーンアップされるのを回避します。
	DDoS トロイの木馬	脅威検出モデルは、DDoS トロイの木馬がサーバー上で実行されていることを検出しました。 DDoS トロイの木馬は、侵害されたサーバーから命令を受信して、特定のサーバーに対して DDoS 攻撃を開始するために使用される悪意のあるプログラムです。
	ルートキット	脅威検出モデルは、サーバー上でルートキットを検出しました。ルートキットは、基盤となるシステムに挿入される悪意のあるモジュールです。ルートキットは、自身または他の悪意のあるプログラムの痕跡を隠すために使用されます。
Webシェル	Webシェルファイル	脅威検出モデルは、サーバー上で不審な Webシェルファイルを検出しました。 Webシェルファイルは、攻撃者が Web サイトに侵入した後に権限を維持するために挿入および使用されるバックドアファイルである可能性があります。

ファイルレスマルウェアに関連するアラート

アラートタイプ	アラート名	説明
永続化	不審なバックドア	脅威検出モデルは、サーバー上で WMI または bitsadmin バックドアを検出しました。このようなバックドアは、サーバーが侵害された後、攻撃者がシステム権限を維持するために残した可能性があります。
	メモリ内の異常なコード	脅威検出モデルは、サーバー上のプロセスのメモリに悪意のある命令を検出しました。このプロセスは、攻撃者によって残されたマルウェア、または悪意のあるコードが挿入されたプロセスである可能性があります。
	異常なレジストリ構成	脅威検出モデルは、サーバー上で不審なレジストリ構成を検出しました。ほとんどの場合、一部の重要なレジストリ構成は、マルウェアによって変更されて永続化を実現したり、妨害動作を実行したりする可能性があります。
	Cobalt Strike RAT	脅威検出モデルは、サーバー上のプロセスのメモリに Cobalt Strike RAT の悪意のあるコードを検出しました。このプロセスは、悪意のあるプロセス、または悪意のあるコードが挿入されたプロセスである可能性があります。
悪意のあるスクリプト	悪意のあるスクリプトコードの実行	脅威検出モデルは、Bash、PowerShell、Python などの悪意のあるスクリプトコードがサーバー上で実行されたことを検出しました。
不審なプロセス	プロセスによって実行された不審なコマンド	脅威検出モデルは、サーバー上のプロセスの履歴動作を自動的に分析し、プロセスが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者がサービスの RCE の脆弱性を悪用してコマンドを実行したことです。
	レジストリ構成への不審な変更	脅威検出モデルは、プロセスがサーバー上のレジストリ構成を変更しようとしていることを検出しました。考えられる原因は、攻撃者がサーバーにバックドアコードを書き込んだか、攻撃者がシステム権限を取得した後に機密構成を変更したことです。
	Java アプリケーションによって実行された不審なコマンド	脅威検出モデルは、サーバー上の Java プロセスが悪意のあるプログラムのダウンロードやバックドアの追加などの高リスク操作を実行したことを検出しました。考えられる原因は、脆弱な Web フレームワークまたはミドルウェアを使用していることです。
	Linux のスケジュールされたタスクによって実行された不審なコマンド	脅威検出モデルは、サーバー上のスケジュールされたタスクが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者がスケジュールされたタスクに悪意のあるコマンドを書き込んで、サーバーが侵害された後に権限を維持したことです。
	Python アプリケーションによる不審なコマンドの実行	脅威検出モデルは、サーバー上の Python アプリケーションが不審なコマンドを実行したことを検出しました。考えられる原因は、サーバー上の Python ベースの Web アプリケーションに RCE の脆弱性があり、侵害されたことです。
	Tomcat によって実行された不審なコマンド	脅威検出モデルは、サーバー上の Tomcat コンテナが不審なコマンドを実行したことを検出しました。考えられる原因は、攻撃者が Tomcat コンテナの Java アプリケーションの Webシェルまたは RCE の脆弱性を悪用して悪意のあるコマンドを実行したことです。